(57)【要約】【課題】外部へ送信される不正パケットが検出された場合にも、不正パケットが使用する宛先サービスポートを他のアプリケーションがそのまま使用できるようにすること。【解決手段】ネットワーク中継装置１００の不正アクセス検知部１１０が内部計算機から外部への不正アクセスを検知して不正アクセスに用いられている不正宛先サービスポートを特定し、その代替ポートを割り当ててサービス中継部１２０および内部計算機に不正宛先サービスポートの代わりに代替ポートを用いるように指示するとともに不正アクセス通知を送信する。また、サービス中継部１２０が不正アクセス通知に含まれる不正宛先サービスポートや代替ポートなどの情報を不正アクセス監視テーブル１２１に設定するとともに、内部ネットワークと外部ネットワークとの間でパケットを中継する際に不正アクセス監視テーブル１２１を用いて不正宛先サービスポートと代替ポートの相互変換を行う。【選択図】        図１
2007124258.tif 000002
【特許請求の範囲】
【請求項１】
内部ネットワークと外部ネットワークとの間の通信を中継するネットワーク中継プログラムであって、
内部ネットワークから外部ネットワークに不正な情報を送信した不正プログラムが通信に使用した不正通信識別子を受け取る不正通信識別子受取手順と、
前記不正プログラムによる不正な情報送信の検知後に内部ネットワークと外部ネットワークとの間で通信される情報の中継を前記不正通信識別子受取手順により受け取られた不正通信識別子に基づいて制御する通信情報中継制御手順と、
をコンピュータに実行させることを特徴とするネットワーク中継プログラム。
【請求項２】
前記不正通信識別子受取手順は、前記不正プログラムが宛先に使用した不正宛先識別子と、該不正プログラムによる不正な情報送信の検知後に内部ネットワークに接続された内部計算機が外部に情報を送信する場合に該不正宛先識別子の代わりに用いるように指示された代替宛先識別子とを受け取り、
前記通信情報中継制御手順は、前記不正通信識別子受取手順により受け取られた代替宛先識別子を送信先として内部ネットワークから送信される情報を前記不正宛先識別子に変換して外部ネットワークに送信し、前記不正通信識別子受取手順により受け取られた不正宛先識別子を送信元として外部ネットワークから受信した情報を前記代替宛先識別子に変換して内部ネットワークに送信することを特徴とする請求項１に記載のネットワーク中継プログラム。
【請求項３】
前記不正宛先識別子および前記代替宛先識別子を前記内部計算機に送信し、外部に情報を送信する場合に該不正宛先識別子の代わりに該代替宛先識別子を用いるように該内部計算機に指示する指示手順をさらにコンピュータに実行させ、
前記不正通信識別子受取手順は、前記指示手順により内部計算機に送信された不正宛先識別子および代替宛先識別子を受け取ることを特徴とする請求項２に記載のネットワーク中継プログラム。
【請求項４】
不正プログラムが情報送信の宛先に使用した不正宛先識別子と、該不正プログラムによる不正な情報送信の検知後に内部ネットワークに接続された内部計算機が外部に情報を送信する場合に該不正宛先識別子の代わりに用いる代替宛先識別子とを受け取る不正宛先識別子受取手順と、
前記不正宛先識別子受取手順により受け取られた不正宛先識別子を送信先とする情報をアプリケーションプログラムから受け取った場合に、該不正宛先識別子を前記代替宛先識別子に変換する宛先識別子変換手順と、
をコンピュータに実行させることを特徴とする通信制御プログラム。
【請求項５】
内部ネットワークと外部ネットワークとの間の通信を中継するネットワーク中継方法であって、
内部ネットワークから外部ネットワークに不正な情報を送信した不正プログラムが通信に使用した不正通信識別子を受け取る不正通信識別子受取工程と、
前記不正プログラムによる不正な情報送信の検知後に内部ネットワークと外部ネットワークとの間で通信される情報の中継を前記不正通信識別子受取工程により受け取られた不正通信識別子に基づいて制御する通信情報中継制御工程と、
を含んだことを特徴とするネットワーク中継方法。
【請求項６】
前記不正通信識別子受取工程は、前記不正プログラムが宛先に使用した不正宛先識別子と、該不正プログラムによる不正な情報送信の検知後に内部ネットワークに接続された内部計算機が外部に情報を送信する場合に該不正宛先識別子の代わりに用いるように指示された代替宛先識別子とを受け取り、
前記通信情報中継制御工程は、前記不正通信識別子受取工程により受け取られた代替宛先識別子を送信先として内部ネットワークから送信される情報を前記不正宛先識別子に変換して外部ネットワークに送信し、前記不正通信識別子受取工程により受け取られた不正宛先識別子を送信元として外部ネットワークから受信した情報を前記代替宛先識別子に変換して内部ネットワークに送信することを特徴とする請求項５に記載のネットワーク中継方法。
【請求項７】
前記不正宛先識別子および前記代替宛先識別子を前記内部計算機に送信し、外部に情報を送信する場合に該不正宛先識別子の代わりに該代替宛先識別子を用いるように該内部計算機に指示する指示工程をさらに含み、
前記不正通信識別子受取工程は、前記指示工程により内部計算機に送信された不正宛先識別子および代替宛先識別子を受け取ることを特徴とする請求項６に記載のネットワーク中継方法。
【請求項８】
内部ネットワークと外部ネットワークとの間の通信を中継するネットワーク中継装置であって、
内部ネットワークから外部ネットワークに不正な情報を送信した不正プログラムが通信に使用した不正通信識別子を受け取る不正通信識別子受取手段と、
前記不正プログラムによる不正な情報送信の検知後に内部ネットワークと外部ネットワークとの間で通信される情報の中継を前記不正通信識別子受取手段により受け取られた不正通信識別子に基づいて制御する通信情報中継制御手段と、
を備えたことを特徴とするネットワーク中継装置。
【請求項９】
前記不正通信識別子受取手段は、前記不正プログラムが宛先に使用した不正宛先識別子と、該不正プログラムによる不正な情報送信の検知後に内部ネットワークに接続された内部計算機が外部に情報を送信する場合に該不正宛先識別子の代わりに用いるように指示された代替宛先識別子とを受け取り、
前記通信情報中継制御手段は、前記不正通信識別子受取手段により受け取られた代替宛先識別子を送信先として内部ネットワークから送信される情報を前記不正宛先識別子に変換して外部ネットワークに送信し、前記不正通信識別子受取手段により受け取られた不正宛先識別子を送信元として外部ネットワークから受信した情報を前記代替宛先識別子に変換して内部ネットワークに送信することを特徴とする請求項８に記載のネットワーク中継装置。
【請求項１０】
前記不正宛先識別子および前記代替宛先識別子を前記内部計算機に送信し、外部に情報を送信する場合に該不正宛先識別子の代わりに該代替宛先識別子を用いるように該内部計算機に指示する指示手段をさらに備え、
前記不正通信識別子受取手段は、前記指示手段により内部計算機に送信された不正宛先識別子および代替宛先識別子を受け取ることを特徴とする請求項９に記載のネットワーク中継装置。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、内部ネットワークと外部ネットワークとの間の通信を中継するネットワーク中継プログラム、ネットワーク中継方法およびネットワーク中継装置ならびに通信を制御する通信制御プログラムに関し、特に、内部ネットワークに接続された内部計算機で実行されて外部への不正な送信を行う不正プログラムが使用した通信識別子を、不正プログラムによる不正な送信が検知された後も、内部計算機で動作する他のアプリケーションが継続して使用することを可能とするネットワーク中継プログラム、ネットワーク中継方法、ネットワーク中継装置および通信制御プログラムに関するものである。
【背景技術】
【０００２】
従来、企業などの内部ネットワークに接続された内部計算機がワーム等の感染によって外部へ不正なアクセスを行っていることが検出されると、感染した計算機を内部ネットワークから切断し、被害の拡大を防ぐことが行われていた。
【０００３】
また、特許文献１には、内部ネットワークに接続された内部計算機による外部への不正なアクセスを検出すると、不正なアクセスに使用されているサービスポートを割り出し、そのサービスポートを遮断するとともに、代替ポートへの変更を指示する侵入検知装置が記載されている。
【０００４】
図１２は、かかる侵入検知装置を使用する、従来のコンピュータネットワークシステムのシステム構成を示す図である。同図に示すように、このコンピュータネットワークシステムは、企業の内部ネットワークに接続された侵入検知装置８００および計算機８１０と、外部ネットワークに接続されたアプリケーションサーバ８３０と、内部ネットワークと外部ネットワークとの間で通信を中継するネットワーク中継装置８２０とから構成される。
【０００５】
このコンピュータネットワークシステムでは、侵入検知装置８００の不正侵入監視手段８０４が内部ネットワークからアプリケーションサーバ８３０への不正アクセスを検知すると、不正侵入に使用されている宛先サービスポートを割り出し、対策手段８０３を経由して、ネットワーク中継装置８２０のポート遮断部８２１にその宛先サービスポートの遮断を指示し、ポート遮断部８２１が不正アクセスに使用されている、宛先サービスポート（ポートＡ）を遮断すると同時に、テンポラリポート割当部８２２が代替ポートとしてポートＢを割り当てる。
【０００６】
そして、テンポラリポート割当部８２２は、計算機８１０のアプリケーションポート指示部８１１に対して、不正アクセスがポートＡで検出されたので、ポートＡが遮断され、代替ポートとしてポートＢが割り当てられたことを通知する。
【０００７】
すると、計算機８１０上のアプリケーションプログラム８１２は、アプリケーションポート指示部８１１のテンポラリポート割当表の指示に従い、本来使用するポートＡが遮断されているため、ポートＢを使用してネットワーク中継装置８２０経由で、アプリケーションサーバ８３０と通信を行う。この際、アプリケーションサーバ８３０においても、侵入検知装置８００からアプリケーションポート指示部８３３に通知されたサービスポートの変更をＷｅｂサーバプログラム８３１に通知し、Ｗｅｂサーバプログラム８３１は、通知されたサービスポートで待ち受ける。これにより、計算機８１０のアプリケーションプログラム８１２は、Ｗｅｂサーバプログラム８３１と通信を行うことができる。
【０００８】
【特許文献１】特開２００２−７３４３３号公報
【発明の開示】
【発明が解決しようとする課題】
【０００９】
しかしながら、かかる従来の方式では、通信を行おうとする全てのアプリケーション同士の宛先サービスポートを一致させること、および、中継を行う全てのネットワーク中継装置で同じテンポラリ宛先サービスポートが開いていることが必要であり、広域のネットワークではこれらの条件を整えることが困難であるという問題があった。また、アプリケーション同士の宛先サービスポートを一致させるために、外部ネットワークや内部ネットワークに接続された他の計算機に情報が伝播するまでに時間を要するという問題があり、また、通信が滞る場合もあった。
【００１０】
この発明は、上述した従来技術による問題点を解消するためになされたものであり、内部計算機で実行されて外部への不正な送信を行う不正プログラムが使用した通信識別子（宛先サービスポート）を、不正プログラムによる不正な送信が検知された後も、内部計算機で動作する他のアプリケーションが継続して使用することを可能とするネットワーク中継プログラム、ネットワーク中継方法、ネットワーク中継装置および通信制御プログラムを提供することを目的とする。
【課題を解決するための手段】
【００１１】
上述した課題を解決し、目的を達成するため、請求項１の発明に係るネットワーク中継プログラムは、内部ネットワークと外部ネットワークとの間の通信を中継するネットワーク中継プログラムであって、内部ネットワークから外部ネットワークに不正な情報を送信した不正プログラムが通信に使用した不正通信識別子を受け取る不正通信識別子受取手順と、前記不正プログラムによる不正な情報送信の検知後に内部ネットワークと外部ネットワークとの間で通信される情報の中継を前記不正通信識別子受取手順により受け取られた不正通信識別子に基づいて制御する通信情報中継制御手順と、をコンピュータに実行させることを特徴とする。
【００１２】
この請求項１の発明によれば、内部ネットワークから外部ネットワークに不正な情報を送信した不正プログラムが通信に使用した不正通信識別子を受け取り、不正プログラムによる不正な情報送信の検知後に内部ネットワークと外部ネットワークとの間で通信される情報の中継を、受け取った不正通信識別子に基づいて制御するよう構成したので、不正プログラムによる通信だけを遮断することができる。
【００１３】
また、請求項２の発明に係るネットワーク中継プログラムは、請求項１の発明において、前記不正通信識別子受取手順は、前記不正プログラムが宛先に使用した不正宛先識別子と、該不正プログラムによる不正な情報送信の検知後に内部ネットワークに接続された内部計算機が外部に情報を送信する場合に該不正宛先識別子の代わりに用いるように指示された代替宛先識別子とを受け取り、前記通信情報中継制御手順は、前記不正通信識別子受取手順により受け取られた代替宛先識別子を送信先として内部ネットワークから送信される情報を前記不正宛先識別子に変換して外部ネットワークに送信し、前記不正通信識別子受取手順により受け取られた不正宛先識別子を送信元として外部ネットワークから受信した情報を前記代替宛先識別子に変換して内部ネットワークに送信することを特徴とする。
【００１４】
この請求項２の発明によれば、不正プログラムが宛先に使用した不正宛先識別子と、不正プログラムによる不正な情報送信の検知後に内部ネットワークに接続された内部計算機が外部に情報を送信する場合に不正宛先識別子の代わりに用いるように指示された代替宛先識別子とを受け取り、受け取った代替宛先識別子を送信先として内部ネットワークから送信される情報を不正宛先識別子に変換して外部ネットワークに送信し、受け取った不正宛先識別子を送信元として外部ネットワークから受信した情報を代替宛先識別子に変換して内部ネットワークに送信するよう構成したので、内部計算機で動作する他のアプリケーションは、内部ネットワークでは代替宛先識別子を用い、外部ネットワークでは不正宛先識別子を用いて通信することができる。
【００１５】
また、請求項３の発明に係るネットワーク中継プログラムは、請求項２の発明において、前記不正宛先識別子および前記代替宛先識別子を前記内部計算機に送信し、外部に情報を送信する場合に該不正宛先識別子の代わりに該代替宛先識別子を用いるように該内部計算機に指示する指示手順をさらにコンピュータに実行させ、前記不正通信識別子受取手順は、前記指示手順により内部計算機に送信された不正宛先識別子および代替宛先識別子を受け取ることを特徴とする。
【００１６】
この請求項３の発明によれば、さらに、不正宛先識別子および代替宛先識別子を内部計算機に送信し、外部に情報を送信する場合に不正宛先識別子の代わりに代替宛先識別子を用いるように内部計算機に指示するよう構成したので、代替宛先識別子への変更指示と、代替宛先識別子から不正宛先識別子への変換とを行うことができる。
【００１７】
また、請求項４の発明に係る通信制御プログラムは、不正プログラムが情報送信の宛先に使用した不正宛先識別子と、該不正プログラムによる不正な情報送信の検知後に内部ネットワークに接続された内部計算機が外部に情報を送信する場合に該不正宛先識別子の代わりに用いる代替宛先識別子とを受け取る不正宛先識別子受取手順と、前記不正宛先識別子受取手順により受け取られた不正宛先識別子を送信先とする情報をアプリケーションプログラムから受け取った場合に、該不正宛先識別子を前記代替宛先識別子に変換する宛先識別子変換手順と、をコンピュータに実行させることを特徴とする。
【００１８】
この請求項４の発明によれば、不正プログラムが情報送信の宛先に使用した不正宛先識別子と、不正プログラムによる不正な情報送信の検知後に内部ネットワークに接続された内部計算機が外部に情報を送信する場合に不正宛先識別子の代わりに用いる代替宛先識別子とを受け取り、受け取った不正宛先識別子を送信先とする情報をアプリケーションプログラムから受け取った場合に、不正宛先識別子を代替宛先識別子に変換するよう構成したので、不正プログラム以外のアプリケーションプログラムは不正宛先識別子を継続して使用することができる。
【００１９】
また、請求項５の発明に係るネットワーク中継方法は、内部ネットワークと外部ネットワークとの間の通信を中継するネットワーク中継方法であって、内部ネットワークから外部ネットワークに不正な情報を送信した不正プログラムが通信に使用した不正通信識別子を受け取る不正通信識別子受取工程と、前記不正プログラムによる不正な情報送信の検知後に内部ネットワークと外部ネットワークとの間で通信される情報の中継を前記不正通信識別子受取工程により受け取られた不正通信識別子に基づいて制御する通信情報中継制御工程と、を含んだことを特徴とする。
【００２０】
この請求項５の発明によれば、内部ネットワークから外部ネットワークに不正な情報を送信した不正プログラムが通信に使用した不正通信識別子を受け取り、不正プログラムによる不正な情報送信の検知後に内部ネットワークと外部ネットワークとの間で通信される情報の中継を、受け取った不正通信識別子に基づいて制御するよう構成したので、不正プログラムによる通信だけを遮断することができる。
【００２１】
また、請求項６の発明に係るネットワーク中継方法は、請求項５の発明において、前記不正通信識別子受取工程は、前記不正プログラムが宛先に使用した不正宛先識別子と、該不正プログラムによる不正な情報送信の検知後に内部ネットワークに接続された内部計算機が外部に情報を送信する場合に該不正宛先識別子の代わりに用いるように指示された代替宛先識別子とを受け取り、前記通信情報中継制御工程は、前記不正通信識別子受取工程により受け取られた代替宛先識別子を送信先として内部ネットワークから送信される情報を前記不正宛先識別子に変換して外部ネットワークに送信し、前記不正通信識別子受取工程により受け取られた不正宛先識別子を送信元として外部ネットワークから受信した情報を前記代替宛先識別子に変換して内部ネットワークに送信することを特徴とする。
【００２２】
この請求項６の発明によれば、不正プログラムが宛先に使用した不正宛先識別子と、不正プログラムによる不正な情報送信の検知後に内部ネットワークに接続された内部計算機が外部に情報を送信する場合に不正宛先識別子の代わりに用いるように指示された代替宛先識別子とを受け取り、受け取った代替宛先識別子を送信先として内部ネットワークから送信される情報を不正宛先識別子に変換して外部ネットワークに送信し、受け取った不正宛先識別子を送信元として外部ネットワークから受信した情報を代替宛先識別子に変換して内部ネットワークに送信するよう構成したので、内部計算機で動作する他のアプリケーションは、内部ネットワークでは代替宛先識別子を用い、外部ネットワークでは不正宛先識別子を用いて通信することができる。
【００２３】
また、請求項７の発明に係るネットワーク中継方法は、請求項６の発明において、前記不正宛先識別子および前記代替宛先識別子を前記内部計算機に送信し、外部に情報を送信する場合に該不正宛先識別子の代わりに該代替宛先識別子を用いるように該内部計算機に指示する指示工程をさらに含み、前記不正通信識別子受取工程は、前記指示工程により内部計算機に送信された不正宛先識別子および代替宛先識別子を受け取ることを特徴とする。
【００２４】
この請求項７の発明によれば、さらに、不正宛先識別子および代替宛先識別子を内部計算機に送信し、外部に情報を送信する場合に不正宛先識別子の代わりに代替宛先識別子を用いるように内部計算機に指示するよう構成したので、代替宛先識別子への変更指示と、代替宛先識別子から不正宛先識別子への変換とを行うことができる。
【００２５】
また、請求項８の発明に係るネットワーク中継装置は、内部ネットワークと外部ネットワークとの間の通信を中継するネットワーク中継装置であって、内部ネットワークから外部ネットワークに不正な情報を送信した不正プログラムが通信に使用した不正通信識別子を受け取る不正通信識別子受取手段と、前記不正プログラムによる不正な情報送信の検知後に内部ネットワークと外部ネットワークとの間で通信される情報の中継を前記不正通信識別子受取手段により受け取られた不正通信識別子に基づいて制御する通信情報中継制御手段と、を備えたことを特徴とする。
【００２６】
この請求項８の発明によれば、内部ネットワークから外部ネットワークに不正な情報を送信した不正プログラムが通信に使用した不正通信識別子を受け取り、不正プログラムによる不正な情報送信の検知後に内部ネットワークと外部ネットワークとの間で通信される情報の中継を、受け取った不正通信識別子に基づいて制御するよう構成したので、不正プログラムによる通信だけを遮断することができる。
【００２７】
また、請求項９の発明に係るネットワーク中継装置は、請求項８の発明において、前記不正通信識別子受取手段は、前記不正プログラムが宛先に使用した不正宛先識別子と、該不正プログラムによる不正な情報送信の検知後に内部ネットワークに接続された内部計算機が外部に情報を送信する場合に該不正宛先識別子の代わりに用いるように指示された代替宛先識別子とを受け取り、前記通信情報中継制御手段は、前記不正通信識別子受取手段により受け取られた代替宛先識別子を送信先として内部ネットワークから送信される情報を前記不正宛先識別子に変換して外部ネットワークに送信し、前記不正通信識別子受取手段により受け取られた不正宛先識別子を送信元として外部ネットワークから受信した情報を前記代替宛先識別子に変換して内部ネットワークに送信することを特徴とする。
【００２８】
この請求項９の発明によれば、不正プログラムが宛先に使用した不正宛先識別子と、不正プログラムによる不正な情報送信の検知後に内部ネットワークに接続された内部計算機が外部に情報を送信する場合に不正宛先識別子の代わりに用いるように指示された代替宛先識別子とを受け取り、受け取った代替宛先識別子を送信先として内部ネットワークから送信される情報を不正宛先識別子に変換して外部ネットワークに送信し、受け取った不正宛先識別子を送信元として外部ネットワークから受信した情報を代替宛先識別子に変換して内部ネットワークに送信するよう構成したので、内部計算機で動作する他のアプリケーションは、内部ネットワークでは代替宛先識別子を用い、外部ネットワークでは不正宛先識別子を用いて通信することができる。
【００２９】
また、請求項１０の発明に係るネットワーク中継装置は、請求項９の発明において、前記不正宛先識別子および前記代替宛先識別子を前記内部計算機に送信し、外部に情報を送信する場合に該不正宛先識別子の代わりに該代替宛先識別子を用いるように該内部計算機に指示する指示手段をさらに備え、前記不正通信識別子受取手段は、前記指示手段により内部計算機に送信された不正宛先識別子および代替宛先識別子を受け取ることを特徴とする。
【００３０】
この請求項１０の発明によれば、さらに、不正宛先識別子および代替宛先識別子を内部計算機に送信し、外部に情報を送信する場合に不正宛先識別子の代わりに代替宛先識別子を用いるように内部計算機に指示するよう構成したので、代替宛先識別子への変更指示と、代替宛先識別子から不正宛先識別子への変換とを行うことができる。
【発明の効果】
【００３１】
請求項１、５および８の発明によれば、不正プログラムによる通信だけを遮断するので、不正プログラムによる不正な送信が検知された後も、内部計算機で動作する他のアプリケーションが継続して外部と通信することができるという効果を奏する。
【００３２】
また、請求項２、６および９の発明によれば、内部計算機で動作する他のアプリケーションは、内部ネットワークでは代替宛先識別子を用い、外部ネットワークでは不正宛先識別子を用いて通信するので、継続して外部と通信することができるという効果を奏する。
【００３３】
また、請求項３、７および１０の発明によれば、代替宛先識別子への変更指示と、代替宛先識別子から不正宛先識別子への変換とを行うので、不正通信に対する処置を確実に行うことができるという効果を奏する。
【００３４】
また、請求項４の発明によれば、不正プログラム以外のアプリケーションプログラムは不正宛先識別子を継続して使用することができるので、他のアプリケーションプログラムに影響を与えることなく不正通信に対処することができるという効果を奏する。
【発明を実施するための最良の形態】
【００３５】
以下に添付図面を参照して、この発明に係るネットワーク中継プログラム、ネットワーク中継方法、ネットワーク中継装置および通信制御プログラムの好適な実施例を詳細に説明する。
【実施例１】
【００３６】
まず、本実施例１に係るコンピュータネットワークシステムの構成について説明する。図１は、本実施例１に係るコンピュータネットワークシステムの構成を示す機能ブロック図である。同図に示すように、このコンピュータネットワークシステムは、企業の内部ネットワークに接続されたモバイル計算機２００および計算機３００と、外部ネットワークに接続されたアップデートサーバ１０と、内部ネットワークと外部ネットワークとの間の通信を中継するネットワーク中継装置１００から構成される。
【００３７】
ここで、モバイル計算機２００は、内部ネットワークに接続される前に他のネットワークで、ＴＣＰの宛先サービスポートとしてポートＡを使用して感染を拡大させるワームに感染している。そして、ワームは、感染を拡大させるために、ランダムスキャンと呼ばれる、ランダムな感染パケットの送出をポートＡを宛先サービスポートとして行う。また、ここでは説明の便宜上、１台の計算機３００のみを示したが、内部ネットワークや外部ネットワークには他の計算機が接続されている。
【００３８】
ネットワーク中継装置１００は、不正アクセス検知部１１０と、サービス中継部１２０とを有する。不正アクセス検知部１１０は、内部ネットワークに接続された計算機（以下「内部計算機」という）から外部に送出される不正なパケットを検出し、不正パケットを遮断するとともに、不正パケットが使用する宛先サービスポート（ここではポートＡ）の変更を指示する処理部であり、検出部１１１と、パケット遮断部１１２と、サービス変更指示部１１３とを有する。
【００３９】
検出部１１１は、内部計算機から外部に送出されるパケットを監視し、感染パケットのような不正なパケットを検出する処理部であり、検出した不正パケットを送信した計算機のＩＰアドレス、不正パケットの送信元サービスポート、宛先サービスポート、プロトコルなどを特定してパケット遮断部１１２とサービス変更指示部１１３に通知する。
【００４０】
パケット遮断部１１２は、検出部１１１から不正パケットの宛先サービスポートなどの情報を受け取り、受け取った宛先サービスポートを宛先のサービスポートとして外部ネットワークへ送信されるパケットを遮断する処理部である。
【００４１】
サービス変更指示部１１３は、検出部１１１から不正パケットを送信した計算機のＩＰアドレス、不正パケットの送信元サービスポート、宛先サービスポート、プロトコルなどの情報を受け取り、受け取った宛先サービスポートの代替ポート（ここではポートＢ）の割り当てを行う処理部である。また、このサービス変更指示部１１３は、サービス中継部１２０および内部計算機に不正アクセス通知として不正パケットを送信した計算機のＩＰアドレス、不正パケットの送信元サービスポート、宛先サービスポート、代替ポート、プロトコルなどの情報を送信するとともに、代替ポートへの変更を指示する。
【００４２】
サービス中継部１２０は、内部ネットワークと外部ネットワークとの間でパケットの中継を行う処理部であり、不正アクセス監視テーブル１２１とポートマッピング部１２２とを有する。
【００４３】
不正アクセス監視テーブル１２１は、不正アクセス検知部１１０が検知した不正パケットの宛先サービスポート、その代替ポートなどに関する情報を記憶するテーブルである。図２は、不正アクセス監視テーブル１２１の一例を示す図である。
【００４４】
同図に示すように、この不正アクセス監視テーブル１２１は、不正パケットを送信した計算機のＭＡＣアドレスおよびＩＰアドレス、不正パケットの宛先サービスポートである不正宛先サービスポートおよびその代替ポートであるマッピング先ポート、不正アクセスで使用されたプロトコル、不正パケットを送信した計算機のノード名を不正アクセスごとに記憶する。
【００４５】
ポートマッピング部１２２は、不正アクセスに使用されている宛先サービスポートやその代替ポートなどの情報をサービス変更指示部１１３から受け取って不正アクセス監視テーブル１２１に格納するとともに、不正アクセス監視テーブル１２１を用いて不正パケットで使用された宛先サービスポートと代替ポートとの間の変換を行う処理部である。
【００４６】
すなわち、このポートマッピング部１２２は、内部ネットワークから送られてくるパケットのうち宛先サービスポートが不正アクセス監視テーブル１２１のマッピング先ポートであるパケットの宛先サービスポートを不正アクセス監視テーブル１２１の不正宛先サービスポートに変更して外部ネットワークに送信し、外部ネットワークから送られてくるパケットのうち送信元サービスポートが不正アクセス監視テーブル１２１の不正宛先サービスポートであるパケットの送信元サービスポートを不正アクセス監視テーブル１２１のマッピング先ポートに変更して内部ネットワークに送信する。
【００４７】
このポートマッピング部１２２が、不正アクセス監視テーブル１２１を用いて不正パケットで使用された宛先サービスポートと代替ポートとの間の変換を行うことによって、内部ネットワークでは代替ポートを用いて通信を行い、外部ネットワークでは不正パケットで使用された宛先サービスポートをそのまま使用して通信を行うことができる。なお、図１では、ポートマッピング部１２２が内部ネットワークで使用されるポートＢと外部ネットワークで使用されるポートＡを変換する場合を示している。
【００４８】
モバイル計算機２００では、不正アクセスプログラム２１０と、アップデートプログラム２２０と、ＯＳ２３０が実行され、ＯＳ２３０は、マッピングテーブル２３１と、アプリケーションポート指示部２３２と、ポートマッピング部２３３と、プロセス制御部２３４とを有する。
【００４９】
不正アクセスプログラム２１０は、ポートＡを宛先サービスポートとして不正アクセスを行うプログラムである。この不正アクセスプログラム２１０が送出する不正パケットがネットワーク中継装置１００の不正アクセス検知部１１０によって検出され、代替ポートとしてポートＢが割り当てられる。
【００５０】
アップデートプログラム２２０は、アップデートサーバ１０からワクチンプログラムおよびパッチを入手し、感染したワームの除去とパッチの適用を行うプログラムである。アップデートサーバ１０は、ポートＡを宛先サービスポートとしてワクチンプログラムおよびパッチを提供するため、このアップデートプログラム２２０は、ワクチンプログラムおよびパッチを入手する際にポートＡを宛先サ−ビスポートとして使用する。
【００５１】
マッピングテーブル２３１は、不正アクセス検知部１１０が検知した不正パケットの宛先サービスポートおよびその代替ポートを記憶するテーブルである。
【００５２】
アプリケーションポート指示部２３２は、不正アクセスに使用されている宛先サービスポートやその代替ポートなどの情報を不正アクセス通知としてネットワーク中継装置１００のサービス変更指示部１１３から受け取り、不正アクセス通知をプロセス制御部２３４に渡すとともに、不正アクセスに使用されている宛先サービスポートやその代替ポートなどの情報をマッピングテーブル２３１に格納する処理部である。
【００５３】
ポートマッピング部２３３は、不正パケットで使用された宛先サービスポートと代替ポートとの間の変換をマッピングテーブル２３１を用いて行う処理部である。すなわち、このポートマッピング部２３３は、モバイル計算機２００で実行されるアプリケーションが外部に送信するパケットのうち宛先サービスポートが不正パケットに使用されたサービスポートとしてマッピングテーブル２３１に登録されている場合にはその宛先サービスポートを代替ポートに変更してネットワーク中継装置１００に送信し、ネットワーク中継装置１００から送られてくるパケットのうち送信元サービスポートが代替ポートとしてマッピングテーブル２３１に登録されている場合にはその送信元サービスポートを不正パケットに使用されたサービスポートに戻してアプリケーションプログラムに送信する。
【００５４】
ポートＡを宛先サービスポートとするパケットはネットワーク中継装置１００によって遮断されるが、このポートマッピング部２３３がポートＡをポートＢに変換し、ネットワーク中継装置１００のポートマッピング部１２２がポートＢをポートＡに変換することによって、アップデートプログラム２２０は、ポートＡをそのまま利用してアップデートサーバ１０からワクチンプログラムおよびパッチを入手することができる。
【００５５】
なお、マッピングテーブル２３１、アプリケーションポート指示部２３２およびポートマッピング部２３３は、ＯＳ２３０の中で通信の制御を行う通信制御プログラムの一部を構成する。
【００５６】
プロセス制御部２３４は、モバイル計算機２００で実行されるプロセスを制御する処理部であり、ネットワーク中継装置１００のサービス変更指示部１１３から不正アクセス通知をアプリケーションポート指示部２３２を介して受信し、不正アクセスを行っているプログラムのプロセスを特定して停止する。
【００５７】
計算機３００では、アップデートプログラム３２０と、ＯＳ３３０が実行され、ＯＳ３３０は、マッピングテーブル３３１と、アプリケーションポート指示部３３２と、ポートマッピング部３３３とを有する。
【００５８】
アップデートプログラム３２０は、ポートＡを用いてアップデートサーバ１０にアクセスするプログラムである。
【００５９】
マッピングテーブル３３１は、不正アクセス検知部１１０が検知した不正パケットの宛先サービスポートおよびその代替ポートを記憶するテーブルである。
【００６０】
アプリケーションポート指示部３３２は、不正アクセスに使用されている宛先サービスポートやその代替ポートなどの情報を不正アクセス通知としてネットワーク中継装置１００のサービス変更指示部１１３から受け取り、マッピングテーブル３３１に格納する処理部である。
【００６１】
ポートマッピング部３３３は、不正パケットで使用された宛先サービスポートと代替ポートとの間の変換をマッピングテーブル３３１を用いて行う処理部である。すなわち、このポートマッピング部３３３は、計算機３００で実行されるアプリケーションが外部に送信するパケットのうち宛先サービスポートが不正パケットに使用されたサービスポートとしてマッピングテーブル３３１に登録されている場合にはその宛先サービスポートを代替ポートに変更してネットワーク中継装置１００に送信し、ネットワーク中継装置１００から送られてくるパケットのうち送信元サービスポートが代替ポートとしてマッピングテーブル３３１に登録されている場合にはその送信元サービスポートを不正パケットに使用されたサービスポートに戻してアプリケーションプログラムに送信する。
【００６２】
なお、マッピングテーブル３３１、アプリケーションポート指示部３３２およびポートマッピング部３３３は、ＯＳ３３０の中で通信の制御を行う通信制御プログラムの一部を構成する。
【００６３】
アップデートサーバ１０では、Ｗｅｂサーバプログラム１１が実行され、Ｗｅｂサーバプログラム１１は、ポートＡをサービスポートとしてワクチンプログラムおよびパッチを提供する。
【００６４】
次に、ネットワーク中継装置１００の不正アクセス検知部１１０の処理手順について説明する。図３は、ネットワーク中継装置１００の不正アクセス検知部１１０の処理手順を示すフローチャートである。
【００６５】
同図に示すように、この不正アクセス検知部１１０は、検出部１１１がパケットをモニターし（ステップＳ１０１）、ワーム等の不正アクセスパケットを検出すると（ステップＳ１０２、Ｙｅｓ）、パケット遮断部１１２が不正アクセスを行うパケットを遮断する（ステップＳ１０３）。なお、パケットの遮断はサービス単位で行う。
【００６６】
そして、サービス変更指示部１１３が、サービス中継部１２０に不正パケットで使用された不正宛先サービスポート、その代替ポートであるマッピング先ポートなどの情報を通知する（ステップＳ１０４）。
【００６７】
また、サービス変更指示部１１３は、内部ネットワークに接続されたモバイル計算機２００や計算機３００などのアプリケーションポート指示部に不正パケットを送信した計算機のＩＰアドレス、不正パケットの送信元サービスポート、不正宛先サービスポート、代替ポート、プロトコルなどの情報を含む不正アクセス通知を送信するとともに、アプリケーションの不正宛先サービスポートの変更を指示する（ステップＳ１０５）。すなわち、不正パケットの宛先サービスポートを宛先として使用するアプリケーションの宛先のサービスポートをマッピング先ポートに変更するように指示する。
【００６８】
このように、検出部１１１が不正アクセスパケットを検出すると、パケット遮断部１１２が不正アクセスパケットを遮断し、サービス変更指示部１１３が、サービス中継部１２０や内部計算機に不正パケットで使用された不正宛先サービスポートやその代替ポートなどの情報を通知することによって、外部ネットワークでの不正宛先サービスポートを用いた通信および内部ネットワークでの代替ポートによる通信が可能となる。
【００６９】
次に、ネットワーク中継装置１００のサービス中継部１２０の処理手順について説明する。図４は、ネットワーク中継装置１００のサービス中継部１２０の処理手順を示すフローチャートである。
【００７０】
同図に示すように、このサービス中継部１２０は、不正アクセス検知部１１０からの不正アクセス通知を待ち（ステップＳ２０１）、不正アクセス通知を受け取ると、ポートマッピング部１２２が、不正アクセス通知に含まれる情報から、不正アクセス監視テーブル１２１に不正宛先サービスポート、マッピング先ポートなどの情報を設定する（ステップＳ２０２）。
【００７１】
そして、ポートマッピング部１２２は、不正アクセス監視テーブル１２１のマッピング情報に従い、パケットを中継する（ステップＳ２０３）。すなわち、ポートマッピング部１２２は、内部ネットワークから送られてくるパケットのうち宛先サービスポートが不正アクセス監視テーブル１２１のマッピング先ポートであるパケットの宛先サービスポートを不正アクセス監視テーブル１２１の不正宛先サービスポートに戻して外部ネットワークに送信し、外部ネットワークから送られてくるパケットのうち送信元サービスポートが不正アクセス監視テーブル１２１の不正宛先サービスポートであるパケットの送信元サービスポートを不正アクセス監視テーブル１２１のマッピング先ポートに変更して内部ネットワークに送信する。
【００７２】
このように、ポートマッピング部１２２が、不正アクセス監視テーブル１２１のマッピング情報に従い、不正パケットで使用された宛先サービスポートとマッピング先ポートとの間の変換を行ってパケットを中継することによって、内部ネットワークではマッピング先ポートを用い、外部ネットワークでは不正宛先サービスポートをそのまま用いて通信を行うことができる。
【００７３】
次に、感染していない計算機３００のポートマッピング処理の処理手順について説明する。図５は、感染していない計算機３００のポートマッピング処理の処理手順を示すフローチャートである。
【００７４】
同図に示すように、感染していない計算機３００は、アプリケーションポート指示部３３２がネットワーク中継装置１００からの不正アクセス通知を受信し（ステップＳ３０１）、受信した不正アクセスに関する情報から、不正宛先サービスポートおよびマッピング先ポートをマッピングテーブル３３１に設定する（ステップＳ３０２）。
【００７５】
そして、ポートマッピング部３３３は、マッピングテーブル３３１を用いてアプリケーションの不正宛先サービスポートをマッピング先ポートに変換し、パケットを送出する（ステップＳ３０３）。
【００７６】
このように、ポートマッピング部３３３がマッピングテーブル３３１を用いてアプリケーションの不正宛先サービスポートをマッピング先ポートに変換し、パケットを送出することによって、感染していない計算機３００で動作するアプリケーションは不正宛先サービスポートをそのまま用いて外部と通信することができる。
【００７７】
次に、感染計算機（モバイル計算機）２００のポートマッピング処理の処理手順について説明する。図６は、感染計算機２００のポートマッピング処理の処理手順を示すフローチャートである。
【００７８】
同図に示すように、感染計算機２００は、アプリケーションポート指示部２３２がネットワーク中継装置１００から不正パケットの送信元サービスポート、不正宛先サービスポート、マッピング先ポートの情報を含む不正アクセス通知を受信し（ステップＳ４０１）、受信した不正アクセス通知に含まれる送信元サービスポートから不正宛先サービスポートへの要求を遮断し、それ以外の不正宛先サービスポートをマッピング先ポートへ変換するために、マッピングテーブル２３１に不正宛先サービスポートおよびマッピング先ポートを設定する（ステップＳ４０２）。
【００７９】
そして、ポートマッピング部２３３は、マッピングテーブル２３１を用いて不正アクセスプログラム以外から送信されるパケットの不正宛先サービスポートをマッピング先ポートに変換し、パケットを送出する（ステップＳ４０３）。
【００８０】
このように、ポートマッピング部２３３がマッピングテーブル２３１を用いて不正アクセスプログラム以外のアプリケーションから送信されるパケットの不正宛先サービスポートをマッピング先ポートに変換し、パケットを送出することによって、感染計算機２００で動作する不正アクセスプログラム以外のアプリケーションは不正宛先サービスポートをそのまま用いて外部と通信することができる。
【００８１】
次に、感染計算機（モバイル計算機）２００のプロセス制御部２３４によるプロセス停止処理の処理手順について説明する。図７は、感染計算機２００のプロセス制御部２３４によるプロセス停止処理の処理手順を示すフローチャートである。
【００８２】
同図に示すように、感染計算機２００のプロセス制御部２３４は、ネットワーク中継装置１００から送信元サービスポート、不正宛先サービスポート、プロトコルの情報を含む不正アクセス通知をアプリケーションポート指示部２３２を介して受信する（ステップＳ５０１）。
【００８３】
そして、受信した不正アクセス通知に含まれる情報からプロトコルスタック情報を検索し、不正アクセスを行っているプログラムのプロセスを特定する（ステップＳ５０２）。そして、特定したプロセスを停止する（ステップＳ５０３）。
【００８４】
このように、感染計算機２００のプロセス制御部２３４が不正アクセス通知に含まれる情報から不正アクセスを行っているプログラムのプロセスを特定して停止することによって、不正パケットの送出を停止することができる。
【００８５】
上述してきたように、本実施例１では、ネットワーク中継装置１００の不正アクセス検知部１１０が内部計算機から外部への不正アクセスを検知して不正アクセスに用いられている不正宛先サービスポートを特定し、その代替ポートを割り当ててサービス中継部１２０および内部計算機に不正宛先サービスポートの代わりに代替ポートを用いるように指示するとともに不正アクセス通知を送信する。そして、不正アクセス通知を受信した内部計算機のアプリケーションポート指示部が不正宛先サービスポートおよび代替ポートの情報をマッピングテーブルに設定するとともに、ポートマッピング部が外部へパケットを送信する際にマッピングテーブルを用いて不正宛先サービスポートを代替ポートに変換する。また、サービス中継部１２０が不正アクセス通知に含まれる不正宛先サービスポートや代替ポートなどの情報を不正アクセス監視テーブル１２１に設定するとともに、内部ネットワークと外部ネットワークとの間でパケットを中継する際に不正アクセス監視テーブル１２１を用いて不正宛先サービスポートと代替ポートの相互変換を行う。したがって、内部ネットワークでは代替ポートを用いて通信し、外部ネットワークでは不正宛先サービスポートをそのまま用いて通信を行うことができる。
【００８６】
なお、本実施例１では、ネットワーク中継装置１００が不正アクセスを検知し、サービス変更、すなわち、不正宛先サービスポートの代替ポートへの変更を内部計算機に指示する場合について説明したが、本発明はこれに限定されるものではなく、例えば、不正アクセスを検知する機能やサービス変更を指示する機能を別の装置として設ける場合にも同様に適用することができる。
【実施例２】
【００８７】
ところで、上記実施例１では、不正アクセスプログラムが不正アクセスに使用した不正宛先サービスポートを特定し、他のプログラムが使用する不正宛先サービスポートをＯＳレベルで代替ポートに変更して内部ネットワークで通信するとともに、ネットワーク中継装置１００が内部ネットワークと外部ネットワークとの間でパケットを中継する際に不正宛先サービスポートと代替ポートを相互変換することによって他のプログラムが継続して不正宛先サービスポートを用いることができるようにする場合について説明した。しかしながら、代替ポートを使用することなく他のプログラムが継続して不正宛先サービスポートをそのまま用いるようにすることもできる。そこで、本実施例２では、代替ポートを使用することなく他のプログラムが継続して不正宛先サービスポートをそのまま用いることを可能とするネットワーク中継装置について説明する。
【００８８】
まず、本実施例２に係るコンピュータネットワークシステムの構成について説明する。図８は、本実施例２に係るコンピュータネットワークシステムの構成を示す機能ブロック図である。なお、ここでは説明の便宜上、図１に示した各部と同様の役割を果たす機能部については同一符号を付すこととしてその詳細な説明を省略する。
【００８９】
図８に示すように、このコンピュータネットワークシステムは、企業の内部ネットワークに接続されたモバイル計算機５００および計算機６００と、外部ネットワークに接続されたアップデートサーバ１０と、内部ネットワークと外部ネットワークとの間の通信を中継するネットワーク中継装置４００から構成される。
【００９０】
ここで、モバイル計算機５００は、内部ネットワークに接続される前に、他のネットワークでＴＣＰの宛先サービスポートとしてポートＡを使用して感染を拡大させるワームに感染している。そして、このモバイル計算機５００で動作する不正アクセスプログラム５１０は、宛先サービスポートとしてポートＡ、送信元サービスポートとしてポートＧを用いて不正アクセスを行う。
【００９１】
また、モバイル計算機５００では、アップデートサーバ１０からワクチンプログラムやパッチを入手するためのアップデートプログラム５２０が動作する。このアップデートプログラム５２０は、宛先サービスポートとしてポートＡ、送信元サービスポートとしてポートＪを用いてアップデートサーバ１０と通信を行う。また、計算機６００では、アップデートサーバ１０からワクチンプログラムやパッチを入手するためのアップデートプログラム６２０が動作する。このアップデートプログラム６２０は、宛先サービスポートとしてポートＡ、送信元サービスポートとしてポートＧを用いてアップデートサーバ１０と通信を行う。
【００９２】
ネットワーク中継装置４００は、不正アクセス検知部１１０と、サービス中継部４２０とを有する。サービス中継部４２０は、内部ネットワークと外部ネットワークとの間でパケットの中継を行う処理部であり、中継許可テーブル４２１を有する。ここで、中継許可テーブル４２１は、中継許否に関する情報を記憶するテーブルである。
【００９３】
サービス中継部４２０は、不正アクセス検知部１１０から不正パケットを送信した計算機のＩＰアドレス、不正パケットが使用する送信元サービスポートなどの情報を不正アクセス通知として受け取り、中継を拒否する対象として中継許可テーブル４２１に登録する。そして、サービス中継部４２０は、中継許可テーブル４２１に中継の許可が記憶されたパケットだけを中継する。
【００９４】
図９は、中継許可テーブル４２１の一例を示す図である。同図に示すように、この中継許可テーブル４２１は、内部計算機で動作し、外部と通信を行うアプリケーションごとに内部計算機のＩＰアドレスである送信元ＩＰと、送信元サービスポートと、そのアプリケーションの通信を許可するか否かを示す許否を記憶する。
【００９５】
図９において、送信元ＩＰが「ＩＰ−Ｘ」の計算機は図８に示したモバイル計算機５００に対応し、モバイル計算機５００で動作する不正アクセスプログラム５１０は、送信元サービスポートとしてポートＧを用いて不正アクセスを行う。このため、送信元ＩＰが「ＩＰ−Ｘ」の計算機で動作し、送信元サービスポートとしてポートＧを使用するアプリケーションは不正アクセスプログラム５１０であり、その通信は拒否（ＮＧ）される。
【００９６】
また、モバイル計算機５００で動作するアップデートプログラム５２０は、送信元サービスポートとしてポートＪを用いてアップデートサーバ１０にアクセスする。したがって、送信元ＩＰが「ＩＰ−Ｘ」の計算機で動作し、送信元サービスポートとしてポートＪを使用するアプリケーションはアップデートプログラム５２０であり、その通信は許可（ＯＫ）される。
【００９７】
また、送信元ＩＰが「ＩＰ−Ｗ」の計算機は図８に示した計算機６００に対応し、計算機６００で動作するアップデートプログラム６２０は、送信元サービスポートとしてポートＧを用いてアップデートサーバ１０にアクセスする。したがって、送信元ＩＰが「ＩＰ−Ｗ」の計算機で動作し、送信元サービスポートとしてポートＧを使用するアプリケーションはアップデートプログラム６２０であり、その通信は許可（ＯＫ）される。
【００９８】
このように、サービス中継部４２０が、中継許可テーブル４２１に中継の許可が記憶されたパケットだけを中継することによって、不正アクセスプログラム５１０が送出するパケットだけを遮断することができる。
【００９９】
モバイル計算機５００で動作するＯＳ５３０は、アプリケーションポート指示部５３２と、プロセス制御部５３４とを有する。アプリケーションポート指示部５３２は、ネットワーク中継装置４００の不正アクセス検知部１１０から、不正アクセスに使用された送信元サービスプロトコル、宛先サービスプロトコル、プロトコルなどの情報を含む不正アクセス通知を受信し、プロセス制御部５３４に渡す。プロセス制御部５３４は、受け取った送信元サービスプロトコル、宛先サービスプロトコル、プロトコルの情報に基づいて不正アクセスを行っているプロセスを特定して停止する。
【０１００】
次に、本実施例２に係るネットワーク中継装置４００のサービス中継部４２０の処理手順について説明する。図１０は、本実施例２に係るネットワーク中継装置４００のサービス中継部４２０の処理手順を示すフローチャートである。
【０１０１】
同図に示すように、このサービス中継部４２０は、不正アクセス検知部１１０から不正パケットの送受信サービスポート、送信元ＩＰアドレス、プロトコルなどの情報を含む不正アクセス通知を受信し（ステップＳ６０１）、不正アクセス通知に含まれる送信元ＩＰアドレス、送信元サービスポートを持つパケットを中継不可にするように中継許可テーブル４２１を設定する（ステップＳ６０２）。
【０１０２】
そして、中継許可テーブル４２１に中継不可と設定されたパケットを受信した場合には、そのパケットを破棄する（ステップＳ６０３）。すなわち、パケットを送信する内部計算機のＩＰアドレスと送信元サービスポートに基づいてパケットを外部に送信するか否かを決定する。
【０１０３】
このように、このサービス中継部４２０が、中継許可テーブル４２１を用いてパケットを中継することによって、外部に不正パケットが送信されることを防ぐことができる。
【０１０４】
上述してきたように、本実施例２では、ネットワーク中継装置４００のサービス中継部４２０が不正パケットの送信元のＩＰアドレスとサービスポートを中継許可テーブル４２１に中継不可の対象として格納し、内部計算機から外部に送信されるパケットを中継するか否かを中継許可テーブル４２１を用いて決定することとしたので、不正アクセスに使用された宛先サービスポートを他のアプリケーションがそのまま使用することができる。
【０１０５】
なお、本実施例１および２では、ネットワーク中継装置について説明したが、ネットワーク中継装置が有する構成をソフトウェアによって実現することで、同様の機能を有するネットワーク中継プログラムを得ることができる。そこで、このネットワーク中継プログラムを実行するコンピュータについて説明する。
【０１０６】
図１１は、本実施例１および２に係るネットワーク中継プログラムを実行するコンピュータの構成を示す機能ブロック図である。同図に示すように、このコンピュータ７００は、ＲＡＭ７１０と、ＣＰＵ７２０と、ＨＤＤ７３０と、ネットワークインタフェース７４０と、入出力インタフェース７５０と、ＰＣインタフェース７６０とを有する。
【０１０７】
ＲＡＭ７１０は、プログラムやプログラムの実行途中結果などを記憶するメモリであり、ＣＰＵ７２０は、ＲＡＭ７１０からプログラムを読み出して実行する中央処理装置である。
【０１０８】
ＨＤＤ７３０は、プログラムやデータを格納するディスク装置であり、ネットワークインタフェース７４０は、コンピュータ７００を内部ネットワークや外部ネットワークに接続するためのインタフェースである。
【０１０９】
入出力インタフェース７５０は、マウスやキーボードなどの入力装置および表示装置を接続するためのインタフェースであり、ＰＣインタフェース７６０は、ＰＣと接続するためのインタフェースである。
【０１１０】
そして、このコンピュータ７００において実行されるネットワーク中継プログラム７１１は、ＰＣ上で開発され、ＰＣインタフェース７６０を介してＰＣから読み出されてコンピュータ７００にインストールされる。
【０１１１】
あるいは、このネットワーク中継プログラム７１１は、ネットワークインタフェース７４０を介して接続された他のコンピュータシステムのデータベースなどに記憶され、これらのデータベースから読み出されてコンピュータ７００にインストールされる。
【０１１２】
そして、インストールされたネットワーク中継プログラム７１１は、ＨＤＤ７３０に記憶され、ＲＡＭ７１０に読み出されてＣＰＵ７２０によってネットワーク中継タスク７２１として実行される。
【０１１３】
（付記１）内部ネットワークと外部ネットワークとの間の通信を中継するネットワーク中継プログラムであって、
内部ネットワークから外部ネットワークに不正な情報を送信した不正プログラムが通信に使用した不正通信識別子を受け取る不正通信識別子受取手順と、
前記不正プログラムによる不正な情報送信の検知後に内部ネットワークと外部ネットワークとの間で通信される情報の中継を前記不正通信識別子受取手順により受け取られた不正通信識別子に基づいて制御する通信情報中継制御手順と、
をコンピュータに実行させることを特徴とするネットワーク中継プログラム。
【０１１４】
（付記２）前記不正通信識別子受取手順は、前記不正プログラムが宛先に使用した不正宛先識別子と、該不正プログラムによる不正な情報送信の検知後に内部ネットワークに接続された内部計算機が外部に情報を送信する場合に該不正宛先識別子の代わりに用いるように指示された代替宛先識別子とを受け取り、
前記通信情報中継制御手順は、前記不正通信識別子受取手順により受け取られた代替宛先識別子を送信先として内部ネットワークから送信される情報を前記不正宛先識別子に変換して外部ネットワークに送信し、前記不正通信識別子受取手順により受け取られた不正宛先識別子を送信元として外部ネットワークから受信した情報を前記代替宛先識別子に変換して内部ネットワークに送信することを特徴とする付記１に記載のネットワーク中継プログラム。
【０１１５】
（付記３）前記不正宛先識別子および前記代替宛先識別子を前記内部計算機に送信し、外部に情報を送信する場合に該不正宛先識別子の代わりに該代替宛先識別子を用いるように該内部計算機に指示する指示手順をさらにコンピュータに実行させ、
前記不正通信識別子受取手順は、前記指示手順により内部計算機に送信された不正宛先識別子および代替宛先識別子を受け取ることを特徴とする付記２に記載のネットワーク中継プログラム。
【０１１６】
（付記４）前記不正プログラムが内部ネットワークから外部ネットワークに送信する不正な情報を検知して前記不正宛先識別子を特定する不正宛先識別子特定手順と、
外部に情報を送信する場合に該不正宛先識別子の代わりに用いる代替宛先識別子を決定する代替宛先識別子決定手順とをさらにコンピュータに実行させ、
前記指示手順は、前記代替宛先識別子決定手順により決定された代替宛先識別子を前記不正宛先識別子とともに内部計算機に送信することを特徴とする付記３に記載のネットワーク中継プログラム。
【０１１７】
（付記５）前記不正通信識別子受取手順は、前記不正プログラムが宛先に使用した不正宛先識別子および送信元に使用した不正送信元識別子を受け取り、
前記通信情報中継制御手順は、内部ネットワークと外部ネットワークとの間で通信される情報を前記不正通信識別子受取手順により受け取られた不正宛先識別子および不正送信元識別子の組み合わせに基づいて制御することを特徴とする付記１に記載のネットワーク中継プログラム。
【０１１８】
（付記６）前記不正プログラムが内部ネットワークから外部ネットワークに送信する不正な情報を検知して前記不正宛先識別子および不正送信元識別子を特定する不正送受信識別子特定手順をさらにコンピュータに実行させ、
前記不正通信識別子受取手順は、前記不正送受信識別子特定手順により特定された不正宛先識別子および不正送信元識別子を受け取ることを特徴とする付記５に記載のネットワーク中継プログラム。
【０１１９】
（付記７）不正プログラムが情報送信の宛先に使用した不正宛先識別子と、該不正プログラムによる不正な情報送信の検知後に内部ネットワークに接続された内部計算機が外部に情報を送信する場合に該不正宛先識別子の代わりに用いる代替宛先識別子とを受け取る不正宛先識別子受取手順と、
前記不正宛先識別子受取手順により受け取られた不正宛先識別子を送信先とする情報をアプリケーションプログラムから受け取った場合に、該不正宛先識別子を前記代替宛先識別子に変換する宛先識別子変換手順と、
をコンピュータに実行させることを特徴とする通信制御プログラム。
【０１２０】
（付記８）内部ネットワークと外部ネットワークとの間の通信を中継するネットワーク中継方法であって、
内部ネットワークから外部ネットワークに不正な情報を送信した不正プログラムが通信に使用した不正通信識別子を受け取る不正通信識別子受取工程と、
前記不正プログラムによる不正な情報送信の検知後に内部ネットワークと外部ネットワークとの間で通信される情報の中継を前記不正通信識別子受取工程により受け取られた不正通信識別子に基づいて制御する通信情報中継制御工程と、
を含んだことを特徴とするネットワーク中継方法。
【０１２１】
（付記９）前記不正通信識別子受取工程は、前記不正プログラムが宛先に使用した不正宛先識別子と、該不正プログラムによる不正な情報送信の検知後に内部ネットワークに接続された内部計算機が外部に情報を送信する場合に該不正宛先識別子の代わりに用いるように指示された代替宛先識別子とを受け取り、
前記通信情報中継制御工程は、前記不正通信識別子受取工程により受け取られた代替宛先識別子を送信先として内部ネットワークから送信される情報を前記不正宛先識別子に変換して外部ネットワークに送信し、前記不正通信識別子受取工程により受け取られた不正宛先識別子を送信元として外部ネットワークから受信した情報を前記代替宛先識別子に変換して内部ネットワークに送信することを特徴とする付記８に記載のネットワーク中継方法。
【０１２２】
（付記１０）前記不正宛先識別子および前記代替宛先識別子を前記内部計算機に送信し、外部に情報を送信する場合に該不正宛先識別子の代わりに該代替宛先識別子を用いるように該内部計算機に指示する指示工程をさらに含み、
前記不正通信識別子受取工程は、前記指示工程により内部計算機に送信された不正宛先識別子および代替宛先識別子を受け取ることを特徴とする付記９に記載のネットワーク中継方法。
【０１２３】
（付記１１）前記不正プログラムが内部ネットワークから外部ネットワークに送信する不正な情報を検知して前記不正宛先識別子を特定する不正宛先識別子特定工程と、
外部に情報を送信する場合に該不正宛先識別子の代わりに用いる代替宛先識別子を決定する代替宛先識別子決定工程とをさらに含み、
前記指示工程は、前記代替宛先識別子決定工程により決定された代替宛先識別子を前記不正宛先識別子とともに内部計算機に送信することを特徴とする付記１０に記載のネットワーク中継方法。
【０１２４】
（付記１２）前記不正通信識別子受取工程は、前記不正プログラムが宛先に使用した不正宛先識別子および送信元に使用した不正送信元識別子を受け取り、
前記通信情報中継制御工程は、内部ネットワークと外部ネットワークとの間で通信される情報を前記不正通信識別子受取工程により受け取られた不正宛先識別子および不正送信元識別子の組み合わせに基づいて制御することを特徴とする付記８に記載のネットワーク中継方法。
【０１２５】
（付記１３）前記不正プログラムが内部ネットワークから外部ネットワークに送信する不正な情報を検知して前記不正宛先識別子および不正送信元識別子を特定する不正送受信識別子特定工程をさらに含み、
前記不正通信識別子受取工程は、前記不正送受信識別子特定工程により特定された不正宛先識別子および不正送信元識別子を受け取ることを特徴とする付記１２に記載のネットワーク中継方法。
【０１２６】
（付記１４）不正プログラムが情報送信の宛先に使用した不正宛先識別子と、該不正プログラムによる不正な情報送信の検知後に内部ネットワークに接続された内部計算機が外部に情報を送信する場合に該不正宛先識別子の代わりに用いる代替宛先識別子とを受け取る不正宛先識別子受取工程と、
前記不正宛先識別子受取工程により受け取られた不正宛先識別子を送信先とする情報をアプリケーションプログラムから受け取った場合に、該不正宛先識別子を前記代替宛先識別子に変換する宛先識別子変換工程と、
を含んだことを特徴とする通信制御方法。
【０１２７】
（付記１５）内部ネットワークと外部ネットワークとの間の通信を中継するネットワーク中継装置であって、
内部ネットワークから外部ネットワークに不正な情報を送信した不正プログラムが通信に使用した不正通信識別子を受け取る不正通信識別子受取手段と、
前記不正プログラムによる不正な情報送信の検知後に内部ネットワークと外部ネットワークとの間で通信される情報の中継を前記不正通信識別子受取手段により受け取られた不正通信識別子に基づいて制御する通信情報中継制御手段と、
を備えたことを特徴とするネットワーク中継装置。
【０１２８】
（付記１６）前記不正通信識別子受取手段は、前記不正プログラムが宛先に使用した不正宛先識別子と、該不正プログラムによる不正な情報送信の検知後に内部ネットワークに接続された内部計算機が外部に情報を送信する場合に該不正宛先識別子の代わりに用いるように指示された代替宛先識別子とを受け取り、
前記通信情報中継制御手段は、前記不正通信識別子受取手段により受け取られた代替宛先識別子を送信先として内部ネットワークから送信される情報を前記不正宛先識別子に変換して外部ネットワークに送信し、前記不正通信識別子受取手段により受け取られた不正宛先識別子を送信元として外部ネットワークから受信した情報を前記代替宛先識別子に変換して内部ネットワークに送信することを特徴とする付記１５に記載のネットワーク中継装置。
【０１２９】
（付記１７）前記不正宛先識別子および前記代替宛先識別子を前記内部計算機に送信し、外部に情報を送信する場合に該不正宛先識別子の代わりに該代替宛先識別子を用いるように該内部計算機に指示する指示手段をさらに備え、
前記不正通信識別子受取手段は、前記指示手段により内部計算機に送信された不正宛先識別子および代替宛先識別子を受け取ることを特徴とする付記１６に記載のネットワーク中継装置。
【０１３０】
（付記１８）前記不正プログラムが内部ネットワークから外部ネットワークに送信する不正な情報を検知して前記不正宛先識別子を特定する不正宛先識別子特定手段と、
外部に情報を送信する場合に該不正宛先識別子の代わりに用いる代替宛先識別子を決定する代替宛先識別子決定手段とをさらに備え、
前記指示手段は、前記代替宛先識別子決定手段により決定された代替宛先識別子を前記不正宛先識別子とともに内部計算機に送信することを特徴とする付記１７に記載のネットワーク中継装置。
【０１３１】
（付記１９）前記不正通信識別子受取手段は、前記不正プログラムが宛先に使用した不正宛先識別子および送信元に使用した不正送信元識別子を受け取り、
前記通信情報中継制御手段は、内部ネットワークと外部ネットワークとの間で通信される情報を前記不正通信識別子受取手段により受け取られた不正宛先識別子および不正送信元識別子の組み合わせに基づいて制御することを特徴とする付記１５に記載のネットワーク中継装置。
【０１３２】
（付記２０）不正プログラムが情報送信の宛先に使用した不正宛先識別子と、該不正プログラムによる不正な情報送信の検知後に内部ネットワークに接続された内部計算機が外部に情報を送信する場合に該不正宛先識別子の代わりに用いる代替宛先識別子とを受け取る不正宛先識別子受取手段と、
前記不正宛先識別子受取手段により受け取られた不正宛先識別子を送信先とする情報をアプリケーションプログラムから受け取った場合に、該不正宛先識別子を前記代替宛先識別子に変換する宛先識別子変換手段と、
を備えたことを特徴とする通信制御装置。
【産業上の利用可能性】
【０１３３】
以上のように、本発明に係るネットワーク中継プログラム、ネットワーク中継方法、ネットワーク中継装置および通信制御プログラムは、ワームなどに感染した計算機が接続されたコンピュータネットワークシステムに有用であり、特に、不正パケットが宛先サービスポートとして使用している宛先サービスポートを用いてワクチンプログラムなどを入手したい場合に適している。
【図面の簡単な説明】
【０１３４】
【図１】本実施例１に係るコンピュータネットワークシステムの構成を示す機能ブロック図である。
【図２】不正アクセス監視テーブルの一例を示す図である。
【図３】ネットワーク中継装置の不正アクセス検知部の処理手順を示すフローチャートである。
【図４】ネットワーク中継装置のサービス中継部の処理手順を示すフローチャートである。
【図５】感染していない計算機のポートマッピング処理の処理手順を示すフローチャートである。
【図６】感染計算機のポートマッピング処理の処理手順を示すフローチャートである。
【図７】感染計算機のプロセス制御部によるプロセス停止処理の処理手順を示すフローチャートである。
【図８】本実施例２に係るコンピュータネットワークシステムの構成を示す機能ブロック図である。
【図９】中継許可テーブルの一例を示す図である。
【図１０】本実施例２に係るネットワーク中継装置のサービス中継部の処理手順を示すフローチャートである。
【図１１】本実施例１および２に係るネットワーク中継プログラムを実行するコンピュータの構成を示す機能ブロック図である。
【図１２】従来のコンピュータネットワークシステムのシステム構成を示す図である。
【符号の説明】
【０１３５】
１０    アップデートサーバ
１１    Ｗｅｂサーバプログラム
１００，４００    ネットワーク中継装置
１１０    不正アクセス検知部
１１１    検出部
１１２    パケット遮断部
１１３    サービス変更指示部
１２０，４２０    サービス中継部
１２１    不正アクセス監視テーブル
１２２    ポートマッピング部
２００，５００    モバイル計算機（感染計算機）
２１０，５１０    不正アクセスプログラム
２２０，５２０    アップデートプログラム
２３０，５３０    ＯＳ
２３１    マッピングテーブル
２３２，５３２    アプリケーションポート指示部
２３３    ポートマッピング部
２３４，５３４    プロセス制御部
３００，６００    計算機
３２０，６２０    アップデートプログラム
３３０    ＯＳ
３３１    マッピングテーブル
３３２    アプリケーションポート指示部
３３３    ポートマッピング部
４２１    中継許可テーブル
７００    コンピュータ
７１０    ＲＡＭ
７１１    ネットワーク中継プログラム
７２０    ＣＰＵ
７２１    ネットワーク中継タスク
７３０    ＨＤＤ
７４０    ネットワークインタフェース
７５０    入出力インタフェース
７６０    ＰＣインタフェース
８００    侵入検知装置
８０１    通信手段
８０３    対策手段
８０４    不正侵入監視手段
８０５    対策解除手段
８１０    計算機
８１１    アプリケーションポート指示部
８１２    アプリケーションプログラム
８２０    ネットワーク中継装置
８２１    ポート遮断部
８２２    テンポラリポート割当部
８３０    アプリケーションサーバ
８３１    Ｗｅｂサーバプログラム
８３２    コンテンツ
８３３    アプリケーションポート指示部
【図１】
2007124258.tif 000003
【図２】
2007124258.tif 000004
【図３】
2007124258.tif 000005
【図４】
2007124258.tif 000006
【図５】
2007124258.tif 000007
【図６】
2007124258.tif 000008
【図７】
2007124258.tif 000009
【図８】
2007124258.tif 000010
【図９】
2007124258.tif 000011
【図１０】
2007124258.tif 000012
【図１１】
2007124258.tif 000013
【図１２】
2007124258.tif 000014